October 2025
Intermediate to advanced
372 pages
5h 56m
Japanese
Content preview from 実践 Webペネトレーションテスト ―攻撃者の視点で学ぶWebアプリケーションセキュリティBecome an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.
4章攻撃シナリオの実行 - 脆弱性を組み合わせた攻撃の実践
2章や3章では、Webペネトレーションテストで重要な要素である探索と攻撃を様々な手法と共に紹介してきました。実際のWebペネトレーションテストでは、これらの要素に加えて、攻撃を組み合わせていく必要がある場合もあります。
脆弱性単体では大した影響がないように見える脆弱性でも、工夫や別の攻撃との組み合わせによって機密情報の漏洩やシステムの乗っ取りに繋がる場合があります。
本章では、ペンのオンラインショップ「ウェブペンSHOP」（http://webpen-shop.test）を対象に攻撃シナリオを組み立てていく方法を紹介します。対象とするWebアプリケーションはECサイトを模したものです。一般的なECサイトでは、商品の閲覧や購入、購入履歴の確認などの機能が提供されています。こういったサイトにとって攻撃者から守りたい重要資産は、配送先住所などの個人情報や金銭といった項目になるでしょう。
再現の都合上、インターネット上のサードパーティサービスを利用したOSINTはここでは行いませんが、それ以外の探索・攻撃手法をどのように組み合わせていくか見てみましょう。
4.1 攻撃の組み立て - ゴール達成に向けた方針の検討
Webペネトレーションテストでは、攻撃者がどのような目的で攻撃をするかを考えることも大切です。特定の目的を持った攻撃者が攻撃をしてきたときに、アプリケーションがどのような影響を受けるかを考えることで、より効果的なテストができるようになります。
「ウェブペンSHOP」はオンラインで商品を販売しているため、商品の他にも顧客情報や売上情報、決済情報を扱っています。このようなシステム・会社に対してはどういった種類の攻撃者が考えられるでしょうか。 ...
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
and much more.
Read now
Unlock full access
More than 5,000 organizations count on O’Reilly
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.Julian F.
I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.Addison B.
I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.Amir M.
I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.